可以说,海盗的胆子还是蛮大的。趋势科技的安全研究人员发现Google Play 上有 17 个损坏的应用程序其运营模式基于……谷歌和微软提供的服务。
乍一看,这些应用程序似乎完全合法且无害。它们通常提供实用功能,例如扫描文档、编辑照片、录音电话或清理系统。下面以图像形式列出了这些假冒应用程序。此后它们已被从 Google Play 中踢出,但如果您安装了它们,则应立即将其删除。

实际上,这些应用程序内部托管着一个“dropper”,即恶意代码,其作用是下载另一个恶意代码,通常功能更强大。它被称为“DawDropper”,被编程为能够在 Android 设备上投放多达四种不同类型的银行木马,即 Octo、Hydra、Ermac 和 TeaBot。
值得注意的是,该 dropper 使用“Firebase 实时数据库”服务作为命令和控制 (C&C) 服务器。特别是,黑客正是通过此服务传达特洛伊木马的下载 URL。
Firebase 是应用程序开发人员常用的工具,因为它可以轻松实现警报和通知等实时功能。研究人员指出,使用这项服务可以让盗版者淹没在人群中,从而“绕过 Google Play 的检测”。由于 Firebase 是由 Google 自己运营的,因此这项技术更加令人难以置信。显然,IT巨头很难检测到此类交易中的恶意流量。
众目睽睽之下
为了托管特洛伊木马,黑客选择了另一家高科技巨头微软的服务。事实上,这些恶意代码是在 GitHub 网站上发现的,这是一种为互联网用户所熟知的参与式开发工具,雷蒙德公司于 2018 年购买了该工具。盗版代码是公开访问的,每个人都可以看到。
再次强调,这种滥用行为显然没有引发任何警报。这是一种耻辱,因为黑客部署的特洛伊木马的危害性特别大。例如,Octo 不断收集敏感数据并将其传输给黑客。它还能够录制屏幕以捕获可能的连接代码,或者停用 Google Protect(Android 中默认集成的防病毒软件)。
为了避免被这些攻击愚弄,研究人员建议不要盲目下载移动应用程序,而要始终进行一些检查:作者是谁?他被人认识吗?其他用户的意见如何? ETC。
来源 : 趋势科技